1. No category

Suomen kybervaste
Timo Kiravuo
Aalto-yliopisto
Sähkötekniikan korkeakoulu
Tietoliikenne- ja tietoverkkotekniikan laitos
[email protected]
Sisältö
• 
• 
• 
• 
• 
Tapahtuneita kyberhyökkäyksiä
Yhteiskunnan digitaalinen infrastruktuuri
Kyberaseiden arkkitehtuuri
Suomen kyberpuolustus
Suomen kybervaste
Mitä "kyber" tarkoittaa
•  Historia:
–  Kybernetiikka: säätötekniikka
•  Nykyään:
–  Kyber- : tieto- ja tietokonejärjestelmiin liittyvä
(Kyberturvallisuusstrategia 2013)
–  Kyber- : digitaalisiin järjestelmiin liittyvä (prof. Jukka Manner
2012)
•  Kattaa myös automaation ja sulautetut järjestelmät
Kyberhäirintä
• 
• 
• 
• 
• 
• 
Pronssisoturi-patsaan siirtäminen Tallinnassa 2007
Etelä-Ossetian sota 2008
Murtoja WWW-sivustoille
Palveluestohyökkäyksiä (DDoS)
Vaikutus: vähäinen
Potentiaali: vastustajan resurssien sitominen ja huomion
hajauttaminen, vrt. kevyt ratsuväki
•  Sivuvaikutus: NATO Cooperative Cyber Defence Centre
of Excellence (CCD COE) Tallinnaan
Kybertiedustelu:
Advanced Persistent Threat
•  "Titan Rain" -vakoiluhyökkäys 2003- USA-laisia
tietojärjestelmiä, mm. puolustusteollisuutta vastaan
•  Advanced: käytetään laajaa palettia keinoja, perinteisestä
tiedustelusta räätälöityihin hyökkäysohjelmiin
•  Persistent: hyökkäys kestää kunnes tavoite on saavutettu,
jopa vuosia
•  Threat: uhka on otettava vakavasti, hyökkääjällä keinot ja
motivaatio
•  APT tukee strategisia tavoitteita
Kybertiedustelu: NSA
•  National Security Agency (USA)
•  Massiivinen verkkotiedusteluoperaatio paljastui kesällä
2013
–  Pääsy USA-laisten palveluyritysten asiakkaiden tietoihin
•  Facebook, Google, Apple...
–  Takaportteja salausohjelmistoihin ja -standardeihin
•  Huono satunnaislukugeneraattori
•  Oletussalausalgoritmi "null" standardeissa
•  Muutoksia ohjelmakoodiin
Kyberhyökkäys: Stuxnet
• 
• 
• 
• 
• 
Täsmähyökkäysohjelmisto, itsekopioiva mato
Kohde: Iranin Natanzin uraaninrikastuslaitos
Tavoite: hidastaa Iranin ydinohjelmaa
Suorittaja: USA Israelin avustamana
Vaikutus: Iranin ydinohjelman hidastaminen usealla
vuodella; kineettisen hyökkäyksen välttäminen LähiIdässä
•  Operaatio, jolla selkeä strateginen tavoite
Stuxnetin tekniikka
•  Huolellisesti suunniteltu ja testattu
•  Aktivoituu vain oikeassa ympäristössä
•  Hyödyntää tunnettuja Windows-haavoittuvuuksia
päästäkseen rikastamon sentrifugien
ohjausjärjestelmään
•  Ohjaa kontrollerit käyttäytymään tavalla, joka rikkoo
laitteiston
•  Kertoo ohjausjärjestelmälle sentrifugeja ajettavan
normaaliparametrien mukaan (rootkit -toiminnallisuus)
•  Saatiin kohdeverkkon USB-muistitikulla
Fyysiset kyberjärjestelmät
•  Käytössä laaja kirjo erilaisia järjestelmiä, 1980-luvulta
alkaen
•  Fyysistä laitetta ohjaa usein ohjelmoitava logiikka
–  Kytketty Ethernet-verkkoon tai kenttäväylään
•  Näitä ohjaa tietokone (Windows, Unix, VMS tms.)
–  SCADA (Supervisory Control and Data Acquisition)
–  Yleensä kytketty lähiverkkoon ja mahd. Internetiin
•  Ohjaavat liikennettä, sähköverkkoa, teollisuutta jne.
[SAS29]
SCADA-järjestelmä
[NIST SP 800-82]
Arvio Stuxnetin projektiryhmästä
•  22-30
henkilöä
•  Lähde:
Kaspersky
Stuxnet-perhe
•  Vakoiluohjelmat Flame, Duqu ja Gauss
•  Modulaarisia ohjelmistoja, jotka käyttävät osittain samaa
koodialustaa
•  Pystyvät lataamaan uusia komponentteja verkon ylitse
•  USA:lla on koodikirjasto, josta se voi koota haluamansa
toiminnallisuuden
•  Oletusarvoisesti viruksentorjuntaohjelmat eivät havaitse
uusia versioita
Kybertiedustelu: Rocra, Red October
•  Vakoiluohjelma
•  Levitetään kohdistettuina sähköpostiviesteinä
–  Spear phishing
•  Kohdistettu julkishallintoon ja teollisuuteen
•  Leviää kohdeverkossa, ei julkisen Internetin ylitse
•  Vakoilee "kaikkea mahdollista"
– 
– 
– 
– 
Tiedostot
Näyttö ja näppäimistö
Kohdekoneeseen liitetyt puhelimet
Sähköposti ja webbiselaimen tiedot
•  Tekijä tuntematon
Yhteiskunnan digitaalinen infrastruktuuri
•  Moderni yhteiskunta perustuu digitaalisiin järjestelmiin
•  Sotilasjärjestelmät kohtuullisen suojattuja
–  Tempest, EMP, ELSO...
•  Siviilijärjestelmät ovat paljon huonommin suojattuja, mutta
vaikutukseltaan merkittäviä
–  Asymmetrisessä tilanteessa tarjoavat heikolle hyökkääjälle
mahdollisuuksia
•  Sota on politiikan ja diplomatian jatkamista väkivallan keinoin
–  Jos poliittiset tavoitteet voidaan saavuttaa kohdistamalla
kyberhyökkäys siviili-infrastruktuuriin, aseellinen konflikti käy
tarpeettomaksi
–  Kohde ei välttämättä edes tule tietoiseksi hyökkäyksestä
–  Sodan käsite hämärtyy ja on määriteltävä uudelleen
Kohteena oleva infrastruktuuri
Kriittisiä kyberjärjestelmiä
Edellisistä riippuvia
• 
• 
• 
• 
• 
• 
• 
•  Puolustusteollisuus
•  Posti ja rahti
•  Elintarviketuotanto ja jakelu
•  Yleinen turvallisuus ja
järjestys
•  Terveydenhuolto
•  Valtion johtaminen
Sähkö
Tietoliikenne ja viestintä
Polttoaineet ja energia
Vesihuolto
Finanssisektori
Liikenne
Kemian teollisuus
[YTS] ja [Lewis06] Kriittisen infrastruktuurin seitsemän ikävää
haastetta (Seven wicked problems)
• 
• 
• 
• 
• 
• 
• 
Fyysinen laajuus (vastness)
Epäselvät hallintosuhteet (command)
Tiedon jakaminen (information sharing)
Relevantin tiedon määrä (knowledge)
Osa-alueet riippuvat toisistaan (interdependencies)
Analyysityökalujen puute (inadequate tools)
Konfliktin osapuolten epäsuhta (asymmetric conflict)
Lewis06
Vahinkoa tavoittelevat osapuolet
Uhkaaja
Motivaatio
Tavoite
Valtio
taloudellinen,
vaikutusvalta
vastustajan toimien estäminen,
informaation kerääminen
Rikollisuus
taloudellinen
tiedolla tai vahingolla uhkaaminen
Yritykset
taloudellinen
kilpailijan häiritseminen,
informaation kerääminen
Terroristit
yhteiskuntajärjestyksen muuttaminen
yleinen epäjärjestys, vastustajien
vahingoittaminen
Muut poliittisesti
aktiiviset tahot
(hacktivismi)
valta
vastustajan saaminen huonoon
valoon, informaatio
Utelias ihminen
kokeilunhalu
painella nappuloita ja katsoa mitä
tapahtuu
Työntekijä
oma etu, kosto
taloudellista hyötyä, vahinkoa
organisaatiolle
Kyberasejärjestelmän arkkitehtuuri
•  Modulaarinen, osista koottava suorituskyky
•  Rinnakkaiset prosessit:
–  Teknisten komponenttien kehitys
–  Tiedustelu ja kohteiden valinta
–  Operaatiot ja komponenttien paljastuminen
Modulaarinen kyberase
Dropper-paketti
Ohjausjärjestelmä
- aseen toimintojen hallinta ja kohdistaminen
- raportointi hallintapalvelimille
- lisämodulien nouto, asennus ja käynnistys
Murtautumismodulit
- haavoittuvuudet
Mobiliteetti
& asennus
Hallintapalvelimet
Kiistettävä
yhteys
Lavetti
Taistelukärjet
- tiedustelu
- sabotaasi
- yms.
Kyberase
Operaation
johto
Ehdotus kohteessa toimivan
kyberaseen arkkitehtuuriksi
• 
1. vaiheen kuljetusalusta, "dropper"
– 
– 
• 
• 
Eteneminen kohdeverkossa, jos tarpeen
Virus, mato
Tunnettuja ja uusia murtokeinoja "exploit"
Tiedustelujärjestelmä
Tiedon keruu
Vahingoittaminen
yms.
Häivejärjestelmä
– 
– 
– 
Vaihtuva salaus
Naamioituminen hyötyohjelmaksi
Rootkit (systeemiohjelmien
muokkaaminen)
–  Itsensä poistaminen toiminnan päätyttyä
Ohjausjärjestelmä, "command & control"
– 
Yhteys kohteesta välipalvelimien kautta
ohjauskeskukseen
–  Tietoliikenteen piilottaminen eri keinoin
–  Tai autonominen toiminta
• 
Tähtäysjärjestelmä
– 
– 
– 
Hyökkäyskuorma, "payload"
– 
– 
– 
– 
• 
Saadaan ohjelmakoodi kohteeseen
USB-tikku, sähköposti,
asennusvarmenteiden väärentäminen
2. vaiheen kuljetusalusta
– 
– 
– 
• 
• 
Tunnistaa oikean kohteen
Tunnistaa väärät kohteet
Passiivisuus lisää häivearvoa
Käyttö
– 
– 
– 
– 
– 
– 
Tunnista ja valitse kohde
Huomioi aikataulu ja ulkoiset tekijät, kuten
havaittavuus
Tiedustele ja suunnittele miten
ohjelmakoodi saadaan kohteeseen
Valitse kirjastosta sopiva hyökkäys tai
hyökkäykset
Kokoa ase/hyökkäys komponenteista
Toteuta
Kyberoperaatiot
Weapons assembly
-platform components
-payloads
Module
library
Pla
de usib
nia le
bil
ity
Internet
Operations
center
I
Dropper
C&C
Controller
Entry
host
Actual
target
Mitä Suomen Internetistä löytyy?
•  3700 laitetta
•  60% laitteista on olemassa tunnettu haavoittuvuus
•  Kevät 2013
553
Building automation
97
2818
141
44
Seppo Tiilikainen, Aalto
Industrial devices
Heavy duty
industrial devices
SCADA/large
infrastructures
Automaatio ja tietoturva
•  Tietoturva: suojaa tietoa väärinkäytöksiltä
–  Yleisratkaisu: estä pääsy lukemaan tietoa,
–  Jos lukeminen sallittua, estä tiedon muuttaminen
•  Automaatio toteuttaa prosessia
–  Yleisratkaisu: prosessin on toimittava ja oltava ohjattavissa
kaikissa tilanteissa
–  Turvallisuus suojaa ihmisiä ja laitteita vahingoilta
•  Automaation tietotekninen turvallisuus perustuu
järjestelmien saavuttamattomuuteen
–  Erillään Internetistä
Shodan
•  http://www.shodanhq.com/
•  Hakukone palvelimien protokollatiedolle
•  Mahdollistaa kohteen tunnistamisen sen palveluiden
perusteella
•  Esim:
Kansallinen hakukone KATSE
•  Aallossa toteutetaan Shodania vastaava toiminnallisuus
Suomen verkon kartoittamiseksi
•  Haluamme että tieto pysyy Suomen sisällä
•  Tukee viranomaistoimintaa
•  Palaute järjestelmien omistajille
•  Rajoituksena rikoslain 38. luku ja tietomurto
–  Saamme ottaa yhteyttä verkossa olevaan koneeseen
–  Emme saa kokeilla tunnettuja oletussalasanoja tai haavoittuvuuksia
•  Pyrimme vastaamaan kansallisen kyberturvallisuuden yhteen
ydinkysymykseen:
"Miten haavoittuva Suomi on?"
Kybervaste
Valtioneuvosto
KRP
tutkii rikoksia
HVK
ennakoiva varautuja
CERT-FI
keskeinen viestijä
PV
ei toimivaltaa
rauhan aikana
Kohde
Yksityiset firmat:
osaamista maksavalle
Suomen kyberpuolustus ja -turvallisuus
• 
• 
• 
• 
• 
• 
• 
• 
• 
Kyberturvallisuusstrategia 2013 ja aiempi julkishallinnon linjaus jakaa vastuut
hallinnonaloittain
Viestintäviraston CERT-FI -toiminto kerää ja jakaa tietoa ja toimii aktiivisesti
tietoturvaongelmien ratkaisemisessa
Huoltovarmuuskeskus ohjaa oman toimialansa yrityksiä kehittämään
turvallisuuttaan ja rahoittaa osan CERT-FI:n toiminnasta
N. 80% kriittisestä infrastruktuurista on yksityisen sektorin hallinnassa
Poliisi selvittää rikoksia ja priorisoi rikoksen vakavuuden mukaan
Puolustusvoimat suojaa omat järjestelmänsä ja kehittää sotilaallisia
kyberkykyjä, ei näe itseään toimijana rauhan aikana
Viranomaisilla on omaa analyysikapasitettia, mutta merkittävä osa
hyökkäyksien teknisestä analyysikyvystä on yksityisellä sektorilla
Käytännössä em. tahot tekevät aktiivista yhteistyötä, paljolti ad-hoc-pohjalta
Kyberturvallisuusstrategiassa määriteltyä organisaatiota ei ole vielä testattu
tositoimissa
Pohdintaa:
Puolustuksellinen kyberdoktriini
•  Miltä osin yhteiskunnan kriittinen infrastruktuuri on laillisen
sodankäynnin kohde?
–  Entä jos "plausible deniability" -mahdollisuus on korkea?
–  Puolustaja ei voi olettaa hyökkääjän noudattavan sääntöjä
•  Ovatko sotaa käyvän maan tietojärjestelmät kolmannessa maassa
laillinen kohde?
•  Alueellisen puolustuksen konsepti
–  Siviilisektori hoitaa tämän? Vrt. väestönsuojelu.
•  Onko kyberpelote mielekäs konsepti?
–  Vastaiskun kohdistamisen ongelma
–  Ei taattua vaikutusta, vrt. ydinase
–  Vaikutus perustuu satunnaisiin aukkoihin puolustuksessa
Pohdintaa; Kyberaseiden merkitys
•  Kyberaseiden sotilaallinen merkitys on vasta
avautumassa
–  Kyberaseet eivät miehitä eivätkä pidä kohteita
–  Täsmäkohteissa voi korvata kineettisen hyökkäyksen
–  Käyttö yhdessä konventionaalisen hyökkäyksen kanssa
tukevassa roolissa
•  Analogia: kevyt ratsuväki tai sissit: tiedustelee, häiritsee
ja kuluttaa vastustajaa, suorittaa erikoistehtäviä, mutta ei
voita suuria taisteluita
Kyberoperaatiot
•  Tiedustelu ja iskut
–  Iskujen kohdistaminen edellyttää tiedustelua
–  Vastustajan verkon sammuttaminen sokaisee toimijan
–  Doktriini saattaa korostaa tiedustelukykyä enemmän kuin
iskukykyä
•  Miten arvioidaan ja mitataan operaation tulos?
–  Kohde katosi, onko se tuhottu vai kiristettiinkö palomuuria?
–  Oliko tuloksena toiminnan estäminen vai hidastaminen
Yhteenveto
•  Moderni yhteiskunta on riippuvainen digitaalisista
järjestelmistä
–  Mikä tahansa näistä voi olla hyökkäyksen kohde
•  Kyberoperaatiot ovat jo käynnissä
•  Kybertoiminta on kustannustehokasta ja mahdollistaa
syyllisyyden peittämisen
•  Varsinainen kybersota ei ole todennäköinen
•  Kyberoperaatiot, etenkin tiedustelu, hyvin todennäköisiä
•  Perinteiseen sodankäyntiin tulee rinnalle kyberulottuvuus
Lähteet 1
•  [YTS] Yhteiskunnan turvallisuusstartegia, 2010,
Puolustusministeriö
•  [SAS29] Teollisuusautomaation tietoturva, 2005, Suomen
Automaatioseura ry.
•  [NIST SP 800-82] Guide to Industrial Control Systems (ICS)
Security, SP 800-82, 2011, National Institute of Standards
and Technology
•  [Lewis06] Lewis, Ted G., Critical Infrastructure Protection in
Homeland Security: Defending a Networked Nation, 2006,
Wiley-Interscience
•  [Martino11] Martino, Richard A., Leveraging Traditional Battle
Damage Assessment Procedures to Measure Effects from a
Computer Network Attack (opinnäyte), 2011, Air Force
Institute of Technology
Lähteet 2
•  [Zetter12] Zetter, Kim, Popular Surveillance Cameras Open to
Hackers, Researcher Says, http://www.wired.com/threatlevel/
2012/05/cctv-hack/ , noudettu 16.5.2012
•  [ReadGuard] The Problem With "Cyberwar", RearGuard Podcast,
http://www.rearguardsecurity.com/episodes/4-transcript.html ,
noudettu 12.5.2012
•  [Leyden08] Leyden, John, Polish teen derails tram after hacking
train network, The Register, http://www.theregister.co.uk/
2008/01/11/tram_hack /, noudettu 16.5.2012
•  [Laakso11] Laakso, Henri, Boeing 747:n moottoreita voi ohjata
matkustajan viihdejärjestelmän avulla, MikroPC, http://
www.mikropc.net/kaikki_uutiset/boeing+747n+moottoreita+voi
+ohjata+matkustajan+viihdejarjestelman+avulla/a721826 , noudettu
16.5.2012